Is it safe to paste a JWT into this tool?

Yes. Decoding runs entirely in your browser with no network calls — you can verify this by disconnecting from the internet and reloading the page. Even so, avoid pasting production tokens anywhere as general hygiene.

Does parsing a JWT verify its signature?

No. Parsing only base64url-decodes the header and payload. Verifying the signature requires the signing key (HMAC secret or public key), which only your auth server holds.

Why can anyone read my JWT payload?

JWT payloads are encoded, not encrypted. Anyone holding the token can decode and read the claims — that is by design. Never store secrets or sensitive data inside a JWT payload.

How do I know when a token expires?

Check the exp claim — a Unix timestamp after which the token must be rejected. This parser highlights token status (active, expired, or not yet valid) based on exp and nbf automatically.

JWT Cozumleyici

JSON Web Token (JWT) kodunu gerçek zamanlı doğrulamayla çözün ve inceleyin. Başlık, yük ve imza bilgilerini tarayıcınızda güvenle görüntüleyin.

Enter JWT Token

How to Use the JWT Parser

Paste Token

Paste your JWT token in the input area

Auto Decode

Token automatically decodes on paste

Inspect Parts

View header, payload, and signature data

Check Status

Verify token validity and expiration time

Understanding JWT Tokens

JWT Nedir?

JSON Web Token (JWT) is a compact, URL-safe means of representing claims to be transferred between two parties. It consists of three parts: header, payload, and signature, separated by dots and base64url encoded.

• Header: Contains token type and signing algorithm
• Payload: Contains claims or user data
• Signature: Verifies token wasn't tampered with
• Stateless: No server-side session storage needed

Why Parse JWTs?

JWT parsing is essential for debugging authentication issues, verifying token contents, checking expiration times, and understanding what data is being transmitted in tokens.

• Debugging: Inspect token contents during development
• Security: Verify token structure and claims
• Expiration: Check token validity period
• Development: Understand authentication flow

Standart JWT Claim'leri Referansı

RFC 7519 tarafından tanımlanan ve neredeyse her token payload'ında göreceğiniz kayıtlı claim adları.

Claim	Tam Adı	Anlam
iss	Yayimlayici	Token'ı kimin oluşturup imzaladığı
sub	Konu	Token'ın kime dair olduğu — genellikle kullanıcı kimliği
aud	Hedef Kitle	Token'ın kime sunulduğu (bir istemci veya API)
exp	Son kullanma (exp)	Bu tarihten sonra token'ın reddedilmesi gereken Unix timestamp
nbf	Su Tarihten Once Degil	Bu tarihten önce token'ın geçersiz olduğu Unix timestamp
iat	Yayimlanma Tarihi	Token'ın oluşturulduğu anın Unix timestamp'i
jti	JWT Kimliği	Benzersiz tanımlayıcı, iptal listeleri için yararlıdır

Sık Kullanılan JWT Algoritmaları

• HS256 (HMAC + SHA-256): Simetrik — tek bir paylaşılan gizli anahtar hem imzalar hem doğrular. Basittir, ancak gizli anahtara sahip olan herkes token taklit edebilir.
• RS256 (RSA + SHA-256): Asimetrik — özel anahtar imzalar, genel anahtar doğrular. Dağıtık sistemler için standart tercih.
• ES256 (ECDSA + SHA-256): RS256 gibi asimetrik ama çok daha kısa imzalarla — iyi bir modern varsayılan seçim.
• yok: İmzasız token. Ciddi her doğrulayıcı tarafından reddedilmelidir; tarih boyunca kritik yetkilendirme atlama açıklıklarının kaynağı olmuştur.

Güvenlik Notları

• Üretim token'larını asla yapıştırmayın bilinmeyen araçlara. Bu çözümleyici tamamen tarayıcınızda çalışır (kontrol: çevrimdışı çalışır) ancak bu her site için geçerli değildir.
• Bir JWT şifreli değildir. Payload yalnızca base64url ile kodlanmıştır — token'a sahip olan herkes okuyabilir. Claim'lere asla gizli bilgi koymayın.
• Çözmek, doğrulamak değildir. Geçerli görünen bir yapı, imza hakkında hiçbir şey söylemez. Doğrulama için anahtar gerekir ve bu anahtar kimlik doğrulama sunucunuzdan asla çıkmaz.
• exp'yı sunucu tarafında kontrol edin. Süresi geçmiş token'ları reddetmek istemcinin değil, doğrulayıcının görevidir.

Instant Decoding

Auto-decode JWT on paste with color-coded sections.

%100 Gizli

All decoding happens in your browser. Tokens never leave your device.

Tamamen Ücretsiz

No registration or limits. Parse JWT tokens freely anytime.

JWT Ayrıştırıcı SSS

Bu araca bir JWT yapıştırmak güvenli mi?

Evet. Kod çözme tamamen tarayıcınızda çalışır ve hiç ağ çağrısı yapılmaz — bunu internet bağlantısını kesip sayfayı yeniden yükleyerek doğrulayabilirsiniz. Yine de, genel bir güvenlik alışkanlığı olarak üretim tokenlarını hiçbir yere yapıştırmaktan kaçının.

Bir JWT'yi ayrıştırmak imzasını doğrular mı?

Hayır. Ayrıştırma yalnızca başlık ve payload kısmını base64url ile çözer. İmzayı doğrulamak için imzalama anahtarı (HMAC gizli anahtarı veya açık anahtar) gerekir; bunu yalnızca sizin auth sunucunuz elinde tutar.

JWT payload'umu herkes neden okuyabiliyor?

JWT payload'ları kodlanmıştır, şifrelenmemiştir. Tokenı elinde tutan herkes claim'leri çözüp okuyabilir — bu bilinçli bir tasarım kararıdır. Asla gizli bilgileri veya hassas verileri bir JWT payload içinde saklamayın.

Bir tokenın ne zaman süresi dolduğunu nasıl bilirim?

exp claim'ine bakın — tokenın bu Unix timestamp değerinden sonra reddedilmesi gerekir. Bu ayrıştırıcı, exp ve nbf değerlerine göre token durumunu (etkin, süresi dolmuş veya henüz geçerli değil) otomatik olarak vurgular.

JWT Cozumleyici

Başlık

Yük

İmza

Invalid Token